1/7 Procedimiento Nº: A/00409/2014 RESOLUCIÓN: R/00774/2015 En el procedimiento A/00409/2014, instruido por la Agencia Española de Protección de Datos frente a la entidad VIRTUS INMO, S.L. con CIF nº: B********, titular del sistema de videovigilancia instalado en el establecimiento con denominación comercial "XXXX" ubicado en la calle (C/...........1) (MADRID), vista la denuncia presentada por D. D.D.D. y en base a los siguientes, HECHOS PRIMERO: Con fecha de 14 de enero de 2014 tiene entrada en esta Agencia escrito de D. D.D.D. (en adelante el denunciante), informando de una posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), motivada por la existencia de cámaras de videovigilancia instaladas en el establecimiento con denominación comercial "XXXX" ubicado en la calle (C/...........1) (MADRID) y cuyo titular es la entidad VIRTUS INMO, S.L. (en lo sucesivo el denunciado). El denunciante manifiesta que en el citado establecimiento se ha instalado ilegalmente un sistema de videovigilancia orientado hacia vía pública y al portal y garaje de la calle donde vive el denunciante. Señala que el sistema carece de los preceptivos carteles informativos que avisan de la existencia de una zona videovigilada y está perjudicando intervenciones policiales en la zona. El sistema denunciado está compuesto por cuatro cámaras exteriores situadas, dos en fachada de la calle E.E.E. y otras dos en fachada de la calle B.B.B.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, con fecha 19 de marzo de 2014 se solicita información al responsable del sistema denunciado, registrándose el 15 de abril de 2014 en esta Agencia escrito de respuesta, en el que se pone de manifiesto: El responsable del establecimiento es la entidad VIRTUS INMO, S.L. con CIF nº: B******** y su representante legal es D. C.C.C.. El instalador del sistema de videovigilancia es D. A.A.A.. No tiene contrato con él pero sí factura de los aparatos, cuya copia adjuntal. No tiene acceso a las imágenes. Las cámaras de videovigilancia se han instalado por motivos de seguridad. Para evitar posibles actos vandálicos y poder proteger tanto los bienes inmuebles de la empresa como a las personas que trabajan o acceden a la misma. No se dispone de ninguna autorización administrativa otorgada para la instalación de las cámaras exteriores. Adjuntan foto los carteles informativos que avisan de la existencia de una zona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 videovigilada y su ubicación dentro del local. Aparece como responsable del fichero: CONVERSIA CONSULTING GROUP, www.conversia.es. Los carteles se encuentran ubicados dentro del local. Se adjunta copia del modelo de formulario informativo que tienen a disposición de los ciudadanos en el que aparece como responsable para ejercitar los derechos reconocidos en la LOPD, la entidad denunciada. Adjuntan plano de situación de las cámaras y fotografía de la zona de captación de cada una de ellas. La empresa dispone de 16 cámaras instaladas, 12 de las cuales se encuentran en el interior del local y 4 en la fachada. De las 4 cámaras exteriores, dos de se encuentran en la entrada del restaurante y las otras dos en la parte trasera donde se ubica el almacén para la entrada de mercancías. Existen tres tipos de modelos de cámaras diferentes, diferenciadas con las letras A, B y C. Las cámaras de la A-01 a la A-09 son cámaras para uso de interior. Las cámaras de la B-01 a la B-03 son cámaras de uso interior con forma de detector de humos. Por último, las cámaras de la C-01 a C-04 son cámaras para uso de exteriores. Todas las cámaras de videovigilancia son fijas, no disponen de zoom ni posibilidad de movimiento. Las cámaras numeradas como A-01 a A-09 y B-01 a B-03 captan zona interior del local. Las cámaras numeradas como C-01 a C-04 están situadas en fachada exterior, las cámaras C-01 y C-02 captan fachada exterior y una porción de vía pública, las cámaras C-03 y C-04 captan fachada exterior bajo un toldo y captan zona de terraza en vía pública con la anchura de dos sillas. El sistema de vigilancia no utiliza monitores de visualización de imágenes sino que solo que se accede a través de dispositivos móviles, mediante la aplicación IVMS4500, dotada de identificador y contraseña. Sólo accede al sistema el encargado del establecimiento. El sistema graba imágenes que se almacenan en un disco duro externo por espacio un espacio temporal de 15 días. La entidad denunciada tiene fichero de videovigilancia inscrito en el Registro General de Protección de Datos, con el código: ***CÓD.1. Aparece esta entidad como responsable del fichero. En actuaciones previas, mediante diligencia de 28 de mayo de 2014, realizada por la inspección se ha comprobado la existencia en el Registro General de Protección de Datos, de inscripción de un fichero de videovigilancia a nombre de la entidad denunciada. No aparece ningún fichero inscrito a nombre de CONVERSIA CONSULTING GROUP. El sistema de videovigilancia no está conectado a ninguna central de alarmas. TERCERO: Con fecha 23 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad VIRTUS INMO, S.L., por presunta infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de dicha norma. CUARTO: En fecha 12 de enero de 2015, se notificó el citado acuerdo de audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 previa al procedimiento de apercibimiento a la entidad denunciada, tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 23 de enero de 2015, se registra en esta Agencia, escrito conteniendo las alegaciones de la entidad denunciada, en el que se pone de manifiesto lo siguiente: - - - Para la colocación de los carteles siguieron las instrucciones contenidas en la “Guía de Videovigilancia” editada por esta Agencia, concretamente se basan en la pregunta frecuente relativa a la identificación precisa del responsable del sistema en el cartel informativo. En determinados entornos, como la entrada de una tienda o pequeño negocio, en los que el responsable es el propietario del establecimiento la simple ubicación del cartel permite establecer la identidad del responsable. La entidad denunciada entiende que la mención a otra empresa en el propio cartel no puede considerarse en ningún caso como que se la identifique como responsable del fichero o tratamiento, teniendo en cuenta que en el cartel se especificaba que los derechos de acceso, rectificación, cancelación y oposición se podían ejercitar en el establecimiento. En cumplimiento del deber de información, tienen a disposición de los interesados formularios informativos debidamente cumplimentados con la información que se exige en el artículo 5.1 de la LOPD. Para evitar confusiones y siguiendo las instrucciones de esta Agencia, han cambiado los carteles informativos por otros en los que se identifica al responsable del fichero. Adjuntan copia del cartel y fotografías de los lugares donde se ubican en el interior del establecimiento y en la puerta del mismo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente hacer hincapié en los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos. Así pues hay que tener en cuenta lo siguiente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 7 de la Ley 23/92 de Seguridad Privada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
- a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III Antes de entrar al analizar la cuestión objeto de este procedimiento, conviene realizar una aclaración en relación con esta. La entidad denunciada manifiesta en sus últimas alegaciones que el cartel expuesto cumplía las indicaciones de la propia Agencia recogidas en la “Guía de Videovigilancia” puesto que en determinados entornos como una tienda o pequeño establecimiento no es necesario precisar concretamente en el cartel los datos del responsable pues se entiende que es el propietario de la tienda o pequeño negocio donde se exhibe el cartel. No obstante hay que tener en cuenta que en este caso en concreto, el establecimiento no es pequeño sino que se trata de un restaurante grande que cuenta con varios trabajadores, dos entradas y que tiene instaladas 16 cámaras. Además el propietario de este restaurante no es una persona física sino una persona jurídica diferente a la que aparece en el cartel (aunque sólo sea con efectos publicitarios en el cartel aparece el nombre de una empresa distinta de la titular del establecimiento). Esta circunstancia puede crear una confusión en el interesado que se puede evitar fácilmente haciendo mención al responsable real del fichero. Las reglas contenidas en la “Guía de Videovigilancia” permiten que no se precisen concretamente los datos del responsable en el cartel en aquellos casos en los que no se van a producir confusiones o dudas al interesado respecto de la identidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 responsable. IV En el caso que nos ocupa, en el establecimiento con denominación comercial "XXXX" ubicado en la calle (C/...........1) (MADRID), se encuentra instalado un sistema de videovigilancia compuesto por dieciséis cámaras. De conformidad con lo ya expuesto, la captación de imágenes a través de videocámaras constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con la entidad VIRTUS INMO, S.L., toda vez que es quién decide sobre la finalidad, contenido y uso del citado tratamiento. Hechas las anteriores precisiones, procede analizar, la infracción del artículo 5 que se imputa a la entidad denunciada en el presente procedimiento. El artículo 5 de la LOPD dispone, en su apartado 1, lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. La obligación que impone el artículo 5 al responsable del fichero sirve para garantizar el derecho de información en la recogida de datos que reconoce la LOPD a favor del afectado. En cuanto al modo en que haya de facilitarse dicha información en materia de videovigilancia, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006, que establece que: “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
- a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción”. “ANEXO1. El distintivo informativo a que se refiere el artículo 3.
- a)de la presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” Así pues y conforme a lo expuesto, el deber de información, en el supuesto examinado, exige el cumplimiento de las condiciones antes señaladas. En el supuesto que nos ocupa, del análisis de las imágenes aportadas en la denuncia, se deriva que en el establecimiento denunciado su sistema de videovigilancia no identifica en los carteles que avisan de la existencia de una zona videovigilada del verdadero responsable del fichero. Las imágenes aportadas de los carteles expuestos en el establecimiento denunciado muestran que los mismos informan de la existencia de una zona videovigilada pero no precisan concretamente los datos del responsable del fichero, mientras que sí aparecen impresos en el cartel los datos de una empresa consultora en protección de datos, creándose una confusión en relación con el responsable del fichero. Esta carencia supone que no se cumple totalmente con el deber de información establecido en la LOPD. A esta circunstancia hay que añadir, que no consta que existan carteles informativos ubicados en el exterior del local donde sí hay instaladas, cuatro cámaras. V Por último cabe señalar que durante la tramitación de este procedimiento, la entidad denunciada ha informado que ha procedido a cambiar el modelo de los carteles informativos, adoptando el modelo facilitado por esta Agencia e incluyendo la identificación del responsable del fichero y así lo acredita mediante las imágenes adjuntas en las que también se puede comprobar el lugar dónde se han ubicado los distintos carteles tanto en el interior del local como en la puerta de acceso al mismo. Llegados a este punto, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29 de noviembre de 2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso. Teniendo en cuenta esta cuestión, se debe proceder a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad VIRTUS INMO, S.L. y a D. D.D.D.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “ Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es